¿Qué aspectos relativos a la protección de datos personales debe prever la hoja de información al paciente y consentimiento informado?

Tras la entrada en vigor del Real Decreto 1090/2015, por el que se regulan los ensayos clínicos con medicamentos, la AEMPS emitió un documento de instrucciones para la realización de ensayos clínicos en España. Se trata de un documento en un formato de preguntas y respuestas, con información de utilidad sobre diversos aspectos prácticos derivados de la aplicación de esta norma. Estas instrucciones han sido objeto de actualizaciones periódicas, y también sus anexos, entre otros el Anexo VIIIA que contiene la denominada “Guía para la correcta elaboración de un modelo de hoja de información al paciente y consentimiento informado (HIP/CI)”.

Además de la información necesaria para participar en el ensayo, la Guía también aborda la información que se debe facilitar al paciente para el tratamiento de sus datos personales. En la Guía, la AEMPS incluye la propuesta del redactado que la HIP/CI debería contener en relación con estas cuestiones.

La AEMPS solicitó proactivamente a la AEPD que analizara si la Guía, y en suma la HIP/CI, cumplían de forma adecuada con los principios de información y transparencia exigidos por el Reglamento General de Protección de Datos (RGPD). En el informe que aquí comentamos, la AEPD efectúa diversas recomendaciones y propuestas de mejora, las cuales han sido paulatinamente incorporadas en las últimas versiones del Anexo VIIIA publicadas por la AEMPS en su página web.

Responsabilidades del Centro y del Promotor

Según la AEPD, uno de los aspectos esenciales que debe especificarse en toda HIP/CI se refiere a qué concretos tratamientos de datos llevan a cabo el Centro y el Promotor, respectivamente, y en relación con qué datos. De lo contrario, a juicio de la AEPD, el participante en el ensayo no podrá saber bien cuál es la responsabilidad de cada una de estas partes en el tratamiento de sus datos. No obstante, la AEPD también recomienda no ofrecer una información excesivamente detallada que pueda ser difícil de entender para un ciudadano medio. Además, la AEPD establece que es necesario incluir los datos de contacto del Delegado de Protección de Datos (DPD) del Promotor, aunque éste último sólo trate datos pseudonimizados.

Finalidad, bases jurídicas del tratamiento y destinatarios

La AEPD considera que otro bloque relevante que debe ser objeto de información, de forma clara y diferenciada, es el relativo  a la finalidad del tratamiento. En relación con las bases jurídicas del tratamiento, la AEPD alude al Dictamen 3/2019 del Comité Europeo de Protección de Datos, a fin de determinar cuáles podrían ser las adecuadas. En este sentido, además del habitual consentimiento, el tratamiento de datos de salud puede sustentarse en las bases siguientes: el cumplimiento de una obligación legal (art. 6.1 c RGPD), el interés público en salud pública (art. 9.2 i RGPD) y la realización de investigaciones científicas (art. 9.2 j RGPD). Por otro lado, la AEPD también recomienda delimitar las categorías de destinatarios de los datos en el contexto de la investigación clínica: las autoridades sanitarias, los Comités de Ética de Investigación con medicamentos, o terceros que presten servicios al Promotor o al Centro, entre otros.

Otros aspectos a considerar

En el caso de que se prevean transferencias internacionales de datos, la AEPD entiende que no debería ofrecerse un texto genérico informando de esta cuestión, sino que sería conveniente adaptar su redactado a cada ensayo en función de sus concretas circunstancias.

Por otra parte, en cuanto al plazo de conservación de los datos más allá de los 25 años tras la finalización del ensayo, la AEPD considera que debe especificarse por cuánto más tiempo adicional se conservarán estos datos y para qué finalidad concreta. En este sentido, la AEPD entiende que deben evitarse fórmulas imprecisas que podrían afectar al derecho a la información de los interesados.

Por último, según la AEPD, sería conveniente que en la HIP/CI se establecieran, de forma diferenciada y con claridad, los supuestos en los que es posible la re-identificación de los participantes en el ensayo (por ejemplo, para proteger los intereses vitales del afectado) y la base jurídica correspondiente para ello (art. 6.1 d y art. 9.2 c RGPD).

En definitiva, es fundamental que cuando se elabore una HIP/CI se tomen en consideración todas las mejoras propuestas por la AEMPS en el referido Anexo VIIIA, en línea con las recomendaciones del informe de la AEPD, para la correcta adecuación de la HIP/CI a la normativa de protección sobre datos personales; más aún cuando se tratan datos sensibles, como lo son los datos relativos a la salud de los pacientes participantes en ensayos clínicos.